Базова автоматизація

Адграфікс надає ACME-ключі EAB а також інструкцію «Як налаштувати Certbot для DigiCert за 3 кроки».

Повна автоматизація «Під ключ» ( Додаткова платна послуга )

Клієнт купує сертифікат + послугу нашого інженера з налаштування, який допомагає вашому адміну і один раз налаштовує автоматичне оновлення через ACME-клієнт.

• Страховка від збитків через downtime»
  Кільки коштує одна година простою його інтернет-магазину або CRM-системи, якщо сертифікат вчасно не оновили вручну ( користувачі побачать страшне попередження «Ваше підключення не захищене» і підуть ). Адмін забув вчасно оновити сертифікат, сайт заблоковано, клієнти йдуть до конкурентів, контекстна реклама зливає бюджет у порожнечу.
  Рішення: Автоматизація DigiCert оновлює сертифікат у фоновому режимі за 10–14 днів до закінчення терміну. Сайт захищений 24/7/365 без участі людини.
• Економія часу системних адміністраторів
  Для компаній, у яких понад 10–20 сертифікатів, ручна генерація CSR, завантаження файлів та налаштування вебсерверів перетворюється на рутину. Автоматизація звільняє десятки робочих годин IT-команди.
  Рішення: Світові вимоги такіх монстрів як Google, Apple, Mozilla ведуть до того, що незабаром термін дії SSL-сертифікатів скоротиться з 1 року до 90 чи навіть 45 днів. Ручне оновлення кожні півтора місяця перетвориться на постійний кошмар для вашого єдиного сисадміна. Потрібно впроваджувати автоматизацію вже зараз.
• Готовність до майбутнього ( Future-proofing )
  Світова IT-індустрія рухається до сертифікатів із терміном дії 90-->45 днів. Компанії, які не впровадять автоматизацію зараз, просто не зможуть фізично оновлювати сертифікати вручну кожні півтора місяця в майбутньому.

Перед тим як пропонувати рішення, адграфікс поставит клієнту три ключові питання:

ЭТАП 1. Аудит інфраструктури клієнта

1. Яка операційна система та веб-сервер використовуються? ( Linux, Windows, Nginx, Apache, IIS, Tomcat ).
2. Який масштаб мережі? Потрібно автоматизувати 5–10 сайтів або тисячі внутрішніх та зовнішніх ендпоінтів?.
3. Чи використовуються хмари та балансувальники навантаження? ( AWS, Azure, Cloudflare, F5 BIG-IP ).

ЕТАП 2. Підбір правильного інструменту автоматизації.
Залежно від масштабу бізнесу клієнта, адграфікс порекомендує один із трьох варіантів:

1. Малий та середній бізнес ( SMB ) ( 1–50 сертифікатів, стандартні VPS )
   Протокол ACME + Certbot / acme.sh
   Клієнт використовує стандартні безкоштовні утиліти автоматизації. Адграфікс генерує для нього EAB ключі ( External Account Binding ) пов'язуючи Certbot клієнта з DigiCert.
2. Крупний та великий бізнес ( Enterprise ) ( Сотні сертифікатів, змішана інфраструктура )
   DigiCert Automation Agent
   Фірмовий агент від DigiCert, який встановлюється на сервери клієнта ( Windows, Linux ) і кліент самостійно керує життєвим циклом сертифікатів.
3. Провайдери, SaaS, Хмарні платформи ( Тисячі сертифікатів, динамічне середовище )
   Інтеграція через CertCentral API
   Клієнт вбудовує випуск сертифікатів безпосередньо у свою панель управління. Адграфікс надає API-документацію та допомагає налаштувати ендпоінти.

ЕТАП 3. Покроковий алгоритм впровадження
Коли інструмент обрано, адграфікс допомагає клієнту пройти такі кроки:

1. Попередня автоматизація перевірок ( Pre-validation )
   Автоматичний випуск не спрацює, якщо домен або організація не пройшли заздалегідь валідацію. Адграфікс допоможе налаштувати валідацію для доменів та верифікацію організаціі. Щоб сертифікати випускалися за лічені секунди без дзвінків та інших перевірок.
2. Налаштування ACME-клієнта ( Найчастіший сценарій )
   Надавши кліенту ACME URL та ключі EAB Kid / EAB HMAC Key Адграфікс допоможе пов'язати сервер кліента із DigiCert за допомогою стандартного Certbot.
   • Запустити команду реєстрації в терміналі:
     bash
     certbot register --server https://digicert.com --eab-kid < KID > --eab-hmac-key < HMAC >
   • Налаштуйте автоматичний випуск та оновлення через Cron.
   3. Налаштування хуків перезапуску ( Post-validation Hooks )
   Випустити сертифікат на диск - це лише пів справи. Його потрібно застосувати ;) Прописати автоматичний перезапуск вебсервера ( наприклад, nginx -s reload ) одразу після оновлення файлів сертифіката, щоб нові ключі зчиталися сервером без зупинки трафіку.

   Приклад реальної CLI-команди для Certbot з параметрами DigiCert EAB

   Потрібно згенерувати в панелі DigiCert CertCentral три значення для EAB ( External Account Binding ):

   1. ACME Directory URL ( унікальна адреса для облікового запису DigiCert )
   2. KID Key Identifier - уникальный номер аккаунта
   3. HMAC Key - секретный ключ для подтверждения подлинности

   Приклад CLI-команди для Certbot ( під Nginx / Apache / Standalone ) як виглядає команда для випуску та автоматичного встановлення DigiCert OV сертифіката:

   
   bash
   certbot certonly --nginx \
     --server "https://digicert.com" \
     --eab-kid "ТУТ_ВАШ_DIGICERT_KID_З_ПАНЕЛІ" \
     --eab-hmac-key "ТУТ_ВАШ_DIGICERT_HMAC_KEY_З_ПАНЕЛІ" \
     -d yourdomain.com.ua \
     -d ://yourdomain.com.ua \
     --email admin@yourdomain.com.ua \
     --agree-tos \
     --no-eff-email
   

   • --nginx
     Модуль Certbot, який автоматично знайде конфіги Nginx, пройде перевірку домену через HTTP-01 та сам пропише шляхи до нових сертифікатів. ( Якщо адміну потрібно просто завантажити файли без редагування конфігів, він замінить це на --standalone або --webroot ).
   • --server
     Перенаправляє Certbot зі стандартного сервера Let's Encrypt на комерційний endpoint DigiCert.
   • --eab-kid та --eab-hmac-key
     Ключі аутентифікації. Саме вони кажуть серверу DigiCert: "Цей запит легальний, він іде від клієнта з оплаченою підпискою CertCentral, випускайте OV-сертифікат без додаткових ручних перевірок".
   • --no-eff-email
     Вимикає непотрібну спам-розсилку від некомерційного фонду EFF оскільки підтримка тепер йде від вас та DigiCert.

   Як працю' автоматичне продовження Auto-Renewal

   Certbot автоматично зчитує збережені конфігураційні файли домену де вже прописані сервери та EAB-ключі DigiCert, звертається до DigiCert, оновлює сертифікат у фоновому режимі та перезапускає вебсервер.

   
   bash
   certbot renew